L'EPFZ a identifié des failles dans le chiffrement de Threema
Début décembre, Threema a introduit un nouveau protocole de communication. Une analyse de l'EPFZ montre pourquoi ce changement était nécessaire. Les chercheurs ont découvert des points faibles dans la technologie de chiffrement utilisée jusque-là.
Une équipe de chercheurs du département informatique de l'EPF de Zurich a passé Threema au crible. Le groupe de cryptographie appliquée de la haute école a examiné la technologie de chiffrement du service de messagerie suisse et découvert plusieurs points faibles.
Le 9 janvier, les chercheurs ont publié un document détaillant sept scénarios d'attaque possibles. Ceux-ci se réfèrent toutefois à l'ancien protocole de communication de la messagerie. Threema est passé en décembre à un nouveau système. Selon l’éditeur de l’app, les lacunes trouvées ont été prises en compte dans le nouveau protocole.
Dans le cadre de son analyse, l'équipe de l'EPFZ a par exemple pu craquer l'authentification en exploitant l'absence de séparation des clés entre les différents sous-protocoles. En outre, les chercheurs ont également réussi à récupérer les clés privées des utilisateurs. Ces clés privées sont nécessaires pour déchiffrer les messages. Ainsi, des personnes non autorisées qui seraient parvenues à récupérer cette clé auraient rendu caduc le chiffrement de bout-en-bout.
Manque de connaissances vs. déconnexion de la réalité
Dans des propos rapportés par la NZZ, l’EPFZ tire à boulets rouges sur le service de messagerie. Le quotidien cite par exemple le professeur de l'EPFZ et co-auteur du papier, Kenneth Patersonk, qui a déclaré: «Le cryptage de Threema a plusieurs années de retard». Le professeur remet également en question la capacité des équipes de Threema à comprendre la cryptographie de façon approfondie.
De son côté, Threema qualifie les vulnérabilités identifiées comme étant de «déconnectées de la réalité». Aucune des failles n'aurait eu de «pertinence significative dans la pratique», fait savoir l'entreprise. En outre, la plupart d'entre elles reposent sur des conditions préalables qui sont déjà plus lourdes de conséquences que la faille de sécurité elle-même. Selon le communiqué de Threema, l'un des scénarios d'attaque nécessiterait par exemple un accès physique à un appareil Android déverrouillé pendant une période d'environ douze heures et sans qu'un mot de passe ne soit défini dans Threema.
«Les conclusions des chercheurs ne sont pas sérieuses, mais de nature purement académique», a déclare à la NZZ Martin Blatter, CEO de Threema. Les données des utilisateurs n'auraient jamais été en danger.
